Les screenings internationaux sont aussi des processus de données internationaux

Un background check devient international dès lors que des informations pertinentes se trouvent à l'étranger ou qu'un partenaire étranger est associé au contrôle. Cela peut être le cas d'une formation suivie en France, d'un précédent employeur en Allemagne ou d'une consultation de registre dans un État tiers. Outre la question, relevant du droit du travail, de la licéité du contrôle, se pose alors un second niveau de questionnement : comment les données personnelles nécessaires peuvent-elles être traitées ou communiquées à l'étranger ? Le document source rattache cette question à l'art. 16 nLPD. Il est important pour les entreprises d'examiner ces deux niveaux séparément. Le consentement d'une candidate ou d'un candidat à un background check ne dispense pas automatiquement de l'examen du cadre légal applicable en matière de protection des données pour un flux international de données. Un processus professionnel doit donc tenir compte à la fois de la finalité du contrôle et des pays et destinataires concernés.

Le niveau de protection des données du pays destinataire est déterminant

Le document source renvoie à l'annexe 1 de l'ordonnance sur la protection des données (OPDo), qui énumère les États dont le niveau de protection des données est considéré comme adéquat du point de vue suisse. Pour les flux de données vers ces pays, la transmission internationale est en principe plus simple, sous réserve du respect continu de la limitation à la finalité, de la transparence, de la sécurité des données et de la proportionnalité. La situation devient plus exigeante lorsqu'un screening fait transiter des données vers des pays sans niveau de protection reconnu comme adéquat. C'est précisément pour cette raison qu'un processus de screening international ne devrait pas se limiter à se demander si une information peut être obtenue quelque part. Il doit aussi déterminer quel prestataire ou quelle institution reçoit les données, où celles-ci sont traitées et quels mécanismes de protection s'appliquent. Pour les entreprises qui recrutent à l'échelle mondiale en particulier, une vue d'ensemble centralisée de ces flux de données est nettement plus fiable que des demandes ponctuelles effectuées isolément par des équipes RH locales.

Les SCC et les transfer assessments comme mécanismes de protection

Pour les transferts de données vers des États sans niveau de protection reconnu comme adéquat, le document source mentionne les clauses contractuelles types, dites SCC, comme un mécanisme contractuel de protection important. Selon la configuration, une évaluation supplémentaire peut s'avérer nécessaire afin de déterminer si les mesures de protection convenues peuvent effectivement être respectées de manière efficace dans le pays destinataire. Cette démarche est souvent désignée comme un Transfer Impact Assessment. Pour les services RH, c'est un bon exemple de la raison pour laquelle les background checks internationaux ne se limitent pas à la vérification proprement dite. Derrière un contrôle apparemment simple peuvent se cacher des flux de données complexes, des sous-traitants et des espaces juridiques différents. Les entreprises devraient donc être en mesure de documenter quelles parties sont impliquées dans le processus et sur quelle base les données sont transmises. Plus ce contrôle est standardisé, plus le risque est faible qu'un nouveau processus improvisé doive être mis en place pour chaque candidat international.

L'exemple des États-Unis montre pourquoi le destinataire concret compte

Le document source traite les États-Unis comme un cas particulier et renvoie au cadre de protection des données applicable aux organisations américaines dûment certifiées. Ce qui est déterminant, ce n'est donc pas uniquement le pays de destination, mais le destinataire concret et son statut. Cela illustre un principe fondamental des background checks internationaux : une logique fondée uniquement sur le pays ne suffit souvent pas. Les entreprises devraient savoir quelle organisation traite effectivement les données et quelles conditions contractuelles, respectivement réglementaires, s'appliquent à cette organisation. Il en va de même pour les sous-traitants d'un prestataire de screening. Une gestion transparente des sous-traitants et des flux de données clairement définis contribuent à rendre les screenings internationaux maîtrisables. Pour les entreprises suisses, cela est particulièrement pertinent lorsqu'elles recrutent à l'échelle mondiale tout en souhaitant traiter et stocker les données sensibles des candidats autant que possible en Suisse ou dans l'UE.

Une portée mondiale nécessite des flux de données maîtrisés

Pour les background checks internationaux, Validato adopte une approche consistant à combiner des contrôles mondiaux avec des processus de données aussi clairs et maîtrisés que possible. La plateforme permet de réaliser des screenings dans différents pays, tandis que le stockage des données, les droits d'accès et l'implication de partenaires externes sont pilotés de manière structurée. Lorsque des registres ou institutions locaux doivent être sollicités, le contrôle est effectué dans le cadre des possibilités existantes et légalement autorisées. Pour les entreprises, cela signifie que le screening mondial ne doit pas nécessairement se traduire par un stockage incontrôlé des données des candidats à l'échelle mondiale. Pour les entreprises suisses en particulier, une infrastructure de screening pilotée de manière centralisée peut aider à concilier portée internationale, protection des données, transparence et gouvernance traçable.

Réaliser des background checks internationaux de manière maîtrisée

Vous recrutez des candidates et candidats issus de plusieurs pays ? Validato vous accompagne avec une infrastructure de screening internationale et des processus clairement structurés pour vos background checks transfrontaliers.